Malte ZanderInhalt
Fälle verknüpfen Sie über Spuren, die Betreiber selten wechseln: Server und Nameserver, Registrar und Registrierungszeitpunkt, Zertifikate mit mehreren Namen, identische Dateien und Texte, Kennungen von Diensten und das Ziel, an das ein Formular die Daten schickt. Je eindeutiger eine Spur, desto stärker die Verbindung. Verknüpfte Fälle machen Meldungen überzeugender, zeigen Ihnen die nächste Fälschung früher und geben Kanzlei und Behörden ein Muster statt Einzelfälle.
- Ermittler brachten mindestens 40.000 Phishing-Domains mit der einen Plattform LabHost in Verbindung (BleepingComputer).
- In 35.067 Phishing-Websites mit Verschleierungstricks fanden Forschende 1.128 Gruppen verwandter Umsetzungen, die sie unterschiedlichen Tätern zuordnen (Zhang u. a., IEEE S&P 2021).
- Microsoft führte Phishing-Kampagnen gegen mehr als 10.000 Organisationen auf ein und dasselbe Open-Source-Kit zurück (Microsoft).
- Öffentlich vertrauenswürdige Zertifikate stehen in Certificate-Transparency-Logs, auch alle Namen, für die sie gelten (Chrome).
Warum lohnt es sich, Fälle zu verknüpfen?
Weil Sie selten gegen eine einzelne Seite kämpfen. Hinter mehreren Fälschungen steht oft derselbe Betreiber oder dasselbe Kit. Wer das erkennt, gewinnt viererlei: Meldungen überzeugen mehr, wenn sie ein Muster zeigen. Registrare können gezielt weitere Domains desselben Inhabers prüfen. Sie sehen, wo die nächste Kopie wahrscheinlich auftaucht. Und Kanzlei oder Polizei erhalten einen Fall mit Gewicht statt zehn kleiner Vorgänge.
Welche Spuren verbinden Fälle?
| Spur | Wo Sie sie finden | Aussagekraft |
|---|---|---|
| IP-Adresse und Netz | DNS und Netzdaten | Gering bei großen Hostern, höher bei kleinen Servern |
| Nameserver | NS-Einträge | Mittel, wenn ungewöhnlich |
| Registrar und Registrierungszeit | RDAP-Daten | Mittel, wenn viele Domains im selben Zeitfenster registriert wurden |
| Zertifikat mit mehreren Namen | Zertifikat, Transparenzlogs | Hoch, die Namen stehen im selben Zertifikat |
| Identische Dateien | Quelltext, eingebundene Bilder und Skripte | Hoch bei seltenen Dateien, gering bei verbreiteten Kits |
| Texte und Tippfehler | Seiteninhalt | Mittel, eigene Fehler sind oft eindeutig |
| Kennungen von Diensten | Quelltext, TXT-Einträge | Hoch, etwa derselbe Analyse- oder Bestätigungscode |
| Ziel der Formulardaten | Quelltext, Formularziel | Sehr hoch, dasselbe Ziel heißt dieselbe Beute |
| Köder | Mails, Anzeigen, QR-Codes | Mittel, dieselbe Vorlage oder Kampagne |
Wie stark ist eine Verbindung?
Das hängt davon ab, wie viele andere dieselbe Spur teilen. Zwei Fälschungen bei einem großen Hoster sagen wenig, dort liegen Millionen Seiten. Zwei Fälschungen, deren Formulare an dasselbe Ziel senden, gehören fast sicher zusammen. Eine hilfreiche Faustregel:
Schwach: gleicher großer Hoster, gleiches CDN, gleiche Domainendung, gleiche kostenlose Zertifizierungsstelle.
Mittel: gleicher kleiner Server, gleicher Registrar im selben Zeitfenster, gleiches Namensmuster, gleiche Texte.
Stark: gleiches Zertifikat für mehrere Domains, identische seltene Dateien, gleiche Kennung eines Dienstes, gleiches Ziel der Formulardaten.
Verknüpfen Sie erst ab einer starken oder mehreren mittleren Spuren. Vorsicht bei Phishing-Kits: Wenn ein Kit an Tausende Nutzer verkauft wurde, wie bei LabHost, heißt dasselbe Kit noch nicht derselbe Täter.
Wo finden Sie die Spuren?
In den Daten, die Sie ohnehin sichern. Registrierungsdaten, DNS-Einträge, Netzdaten, Zertifikat, Quelltext und Archivkopie enthalten fast alles aus der Tabelle. Deshalb ist eine vollständige Sicherung beim ersten Fall so wertvoll: Sie wird zur Referenz für alle späteren. Wie das geht, steht in Beweise einer Fake-Website sichern, was das Zertifikat verrät, in TLS-Zertifikate lesen, und was DNS-Einträge verraten, in DNS-Einträge prüfen.
Wie dokumentieren Sie Verknüpfungen?
Als eigene Einträge, nicht als Bauchgefühl. Halten Sie für jede Verbindung fest, welche Fälle sie verbindet, über welche Spur, mit welchem Beleg und wie stark Sie sie einschätzen. So bleibt nachvollziehbar, warum Sie Fälle zusammengeführt haben, und eine falsche Verknüpfung lässt sich später auflösen. Mit der Zeit entsteht ein Netz aus Fällen, das zeigt, welche Betreiber Sie wiederholt angreifen.
Was machen Sie mit verknüpften Fällen?
Melden mit Muster: Nennen Sie in jeder Meldung die verbundenen Fälle und Vorgangsnummern. Bei Registraren bitten Sie ausdrücklich um Prüfung weiterer Domains desselben Inhabers.
Gezielt beobachten: Spuren wie Namensmuster, Server oder Zertifikatsgewohnheiten zeigen, wo die nächste Kopie auftaucht. Mehr in Die Fake-Website taucht wieder auf.
Eskalieren: Ein Muster aus vielen Fällen ist ein Grund, die Rechtsabteilung oder die Polizei einzuschalten.
Berichten: Zeigen Sie dem Management, wie viele Fälle auf wenige Betreiber zurückgehen. Das macht Risiken greifbar.
Wie hilft AI Fraud Protect?
AI Fraud Protect sichert für jeden Fund das vollständige Beweispaket und gleicht neue Funde mit früheren Fällen ab. Rückkehrer und verwandte Fälschungen werden zugeordnet, sodass Meldungen mit Verweis auf frühere Fälle vorbereitet werden können. Ein Mensch prüft und versendet jede Nachricht, und offene Fälle bleiben auf der Nachfassliste.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Kann ich so den Täter namentlich ermitteln?
Selten. Verknüpfung zeigt, dass Fälle zusammengehören, nicht wer dahintersteht. Namen ermitteln Behörden, und verknüpfte Fälle helfen ihnen dabei.
Wie viele Fälle brauche ich, damit sich Verknüpfen lohnt?
Schon ab dem zweiten Fall. Je früher Sie Spuren systematisch erfassen, desto schneller erkennen Sie Muster.
Darf ich Formularziele selbst testen?
Nein. Senden Sie keine Daten an eine Fälschung, auch keine erfundenen. Das Ziel lesen Sie aus dem Quelltext ab.
Was, wenn eine Verknüpfung falsch war?
Dann lösen Sie sie auf und vermerken den Grund. Deshalb gehört zu jeder Verbindung die Spur, auf der sie beruht.
Quellen
BleepingComputer: LabHost zerschlagen, 18. April 2024
Zhang u. a.: CrawlPhish, Large-scale Analysis of Client-side Cloaking Techniques in Phishing, IEEE Symposium on Security and Privacy 2021
Microsoft Security: AiTM-Phishing als Einstieg in Finanzbetrug, 12. Juli 2022